Firefox for iOS 155へ更新を、偽サイトでも正しいURL表示の恐れ

フランスのCERT-FRは2026年9月1日、Firefox for iOS 155.0未満を対象とする脆弱性CVE-2026-81267について、セキュリティポリシーを回避される恐れがあるとして修正版の適用を案内した。影響範囲と通知日は CERT-FRのセキュリティ通知 で確認できる。

修正版はFirefox for iOS 155.0だ。2026年8月31日付の Mozillaの勧告MFSA 2026-81 は、この問題を深刻度「moderate」と評価し、悪意あるページがポップアップのクロスオリジン移動を確定後に停止させることで、アドレスバーに移動先オリジンを表示したまま攻撃者管理の内容を描画できるとしている。

Firefox for iOS 155で修正された問題

CVE-2026-81267の核心は、アドレスバーが示すWeb上の主体と、その下に表示される内容が一致しなくなる点にある。利用者がURLを確認しても、目の前のフォームや案内がその移動先から配信されたものだとは限らない。

オリジンは、基本的にURLのスキーム、ホスト名、ポート番号の組み合わせで区別される。今回の脆弱性では、表示中の内容に対応するオリジンではなく、途中で停止させられた移動処理の移動先オリジンがアドレスバーに残る。そのため、正規サービスを示す表示と、攻撃者が用意した画面が同時に見える可能性がある。

ただし、攻撃者が無条件で好きなURLを表示できるという内容ではない。悪意あるWebページがポップアップを開き、別オリジンへの移動を開始し、その処理を確定後に停止させるという経路が前提になる。

攻撃時にURLと画面内容が食い違う流れ

1. 利用者が攻撃者の用意したWebページを開く。
2. ページがポップアップを開き、別オリジンへの移動を開始する。
3. 移動先が確定した後、ナビゲーションが停止させられる。
4. アドレスバーには移動先オリジンが表示される一方、表示領域では攻撃者が制御する内容の描画が続く。

危険なのは、「アドレスバーのURLを確かめてから入力する」という通常の確認行動をすり抜け得ることだ。条件付きの例として、残された内容がログインフォームなら、利用者は正規サイトの画面だと思い込み、パスワードやワンタイムコードを入力する恐れがある。

一方、脆弱性の技術説明は、端末内の認証情報や決済情報が操作なしで自動流出するとはしていない。具体的な被害は、攻撃者が表示した内容と、その画面上で利用者が行う操作に左右される。

影響対象は155.0未満

更新要否を分ける基準は、現在導入されているバージョンが155.0以上かどうかだ。Firefox for iOS 155.0未満は影響対象で、155.0ではCVE-2026-81267が修正されている。

対象製品はiOS版である。デスクトップ版やAndroid版のFirefoxに関する別の勧告と混同せず、「Firefox for iOS」「CVE-2026-81267」「155.0」の組み合わせを確認する必要がある。

更新が終わるまでは、突然開いたポップアップでパスワード、ワンタイムコード、カード情報などを求められても、アドレスバーの表示だけを安全性の根拠にしないほうがよい。不審な画面を閉じ、公式アプリや保存済みブックマークなど、ポップアップを経由しない方法で目的のサービスを開き直す対応が考えられる。

155.0への更新は、今回示されたオリジン偽装の経路を塞ぐための対応であり、外見を似せた一般的なフィッシングまで防ぐという意味ではない。更新後も、認証画面が開いたきっかけと要求内容を併せて判断する必要がある。

155.0へ更新し、導入済みの版を確認する

iPhoneまたはiPadでApp Storeを開き、Firefoxに更新が表示されていれば適用する。Appleのアプリ更新手順 では、アカウント画面の「アプリのアップデート」から、個別の「アップデート」または「すべてをアップデート」を選べる。

1. Firefoxのメニューから「設定」を開き、「製品情報」までスクロールして現在のバージョン番号を確認する。
2. 155.0未満なら、App StoreでFirefoxを更新する。
3. 更新後にFirefoxを開き直し、「製品情報」が155.0以降になったことを確かめる。

自動アップデートを有効にしている場合も、設定が有効かどうかではなく、端末に実際に導入されたバージョン番号で判断する。複数のiPhoneやiPadを利用している場合は、端末ごとの確認が必要だ。

管理端末は配布結果まで確認する

組織管理のiPhoneやiPadでは、Firefox for iOS 155.0以降を配布対象に設定しただけでは、すべての端末で更新が完了したとは判断できない。管理画面でアプリのバージョンを取得できる場合は、155.0未満の端末を抽出し、未接続や配布失敗などの状態に応じて再配布する。

最低バージョンを指定できる管理環境では155.0を基準にし、更新できていない例外端末の扱いも決めておく。業務サービスへのログインやメール内リンクの閲覧にFirefox for iOSを使う端末は、優先して導入状況を確認したい。

現時点で確定しているのは、CVE-2026-81267がFirefox for iOS 155で修正され、155.0未満が影響を受けることだ。利用者は更新後のバージョン番号を確認し、モバイルアプリ管理者は配布設定だけでなく各端末の導入結果まで確認する必要がある。